关键词
安全漏洞
Apple 发布了妙控键盘固件更新 2.0.6，以解决最近披露的蓝牙键盘注入问题，该问题被跟踪为 CVE-2024-0230。
该漏洞是一个会话管理问题，攻击者可以利用该漏洞对配件进行物理访问，以提取其蓝牙配对密钥并监视蓝牙流量。
这家 IT 巨头通过改进检查解决了该漏洞。
“对配件进行物理访问的攻击者可能能够提取其蓝牙配对密钥并监控蓝牙流量，”该公司发布的公告中写道。
该漏洞是由SkySafe的Marc Newlin发现的。
靠近受害者的攻击者可以利用未经身份验证的蓝牙连接到易受攻击的设备并注入击键，从而实现安装应用程序、执行任意命令、转发消息等操作。
“这些漏洞的工作原理是诱骗蓝牙主机状态机在未经用户确认的情况下与假键盘配对。底层未经身份验证的配对机制在蓝牙规范中定义，特定于实现的错误将其暴露给攻击者。解释纽林。“未打补丁的设备在以下情况下容易受到攻击：
-
每当启用蓝牙时，Android 设备都容易受到攻击
-
Linux/BlueZ 要求蓝牙是可发现/可连接的
-
iOS 和 macOS 在启用蓝牙且妙控键盘已与手机或计算机配对时容易受到攻击”
妙控键盘固件更新 2.0.6 适用于：妙控键盘;妙控键盘 （2021）;带数字小键盘的妙控键盘;带触控 ID 的妙控键盘;以及带触控 ID 和数字小键盘的妙控键盘。
研究人员指出，锁定模式并不能阻止攻击利用此漏洞。
目前尚不清楚该漏洞是否在野外攻击中被利用。
END
原文始发于微信公众号（安全圈）：【安全圈】苹果 Magic Keyboard 曝出大 Bug，尚不清楚是否被利用
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论